Trezor社、Safe 5ウォレットへのハードウェア埋め込みの報告を受け、CryptoBilis購入者に警告を発令
Trezorによると、インドネシアの顧客から、再販業者CryptoBilisから購入したTrezor Safe 5に携帯電話の埋め込みが見つかったとの報告があった。2026年3月以降に購入した顧客には、資金を新しいシードに移動するよう指示している。
ハードウェアウォレットメーカーのTrezorは、Trezor Safe 5にハードウェアインプラントが埋め込まれていたとの報告を受け、販売代理店CryptoBilisからデバイスを購入した顧客に対し、資金を移動するよう警告した。同社は、問題のデバイスがまだ研究所に届いていないものの、この主張を信憑性のあるものとして扱っている。
Trezorが発見したと述べていること
Trezorの公式発表によると、同社のセキュリティチームは2026年10月28日に、2026年8月にCryptoBilisから購入したSafe 5に1つのインプラントが埋め込まれていたという情報開示を受け取った。この報告はインドネシアのTrezor顧客から寄せられた。
BleepingComputerの報道によると、ユーザーはメイン基板と画面の間に、携帯電話モジュールとアンテナが取り付けられた追加の回路基板を発見した。顧客の未確認の説明によると、このインプラントは画面に表示される情報（リカバリーフレーズを含む）を読み取り、デバイスが電源に接続されているときにモバイルネットワーク経由で送信できるようだ。
Trezorは、報告内容を確認するためのデバイスをまだ受け取っていないと述べています。購入者が念のため資金を安全に保管できるよう、現在詳細を公表しています。The Blockは、Trezorはデバイスを受け取っていないものの、このリスクを信憑性のあるものとして扱っていると指摘しました。
CryptoBilisの購入者からTrezorに資金損失の報告は寄せられていない。Trezorによると、報告をした顧客は、インプラントを発見する前に既に資金をデバイスから移動させていたという。
購入者向けガイダンスおよびLedger事件へのリンク
Trezorのアドバイスは、Safe 5だけでなく、CryptoBilisから購入したすべてのモデルに適用されます。2026年3月以降にこの販売店から購入した方は、新しいリカバリーシードを使用して新たに作成したウォレットに資金を移動し、Trezorサポートに連絡してください。CryptoBilisデバイスをまだセットアップしていないお客様は、セットアップしないでください。Trezorは、影響を受けた購入者には交換品またはバウチャーを提供すると述べています。
CryptoBilisは2026年10月まで東南アジアにおけるTrezorの公式再販業者でした。Trezorは、同月初めに発生したLedger事件を受けて、10月9日にこの再販業者を通じた販売を停止しました。BleepingComputerによると、2つのブランドのデバイスに埋め込まれたインプラントは、形状と機能が似ているようです。
Trezorは、CryptoBilisの他の顧客から提供されたデバイスも検査しました。同社によると、これまでに受け取った4台のデバイスには改ざんの痕跡は見られなかったとのことです。したがって、今回の報告は、Trezorが当該デバイスを調査するまでは、未確認の単一事例として扱われます。
今回の事件は、ハードウェアウォレットのサプライチェーン攻撃に対する懸念をさらに高めるものだ。サプライチェーン攻撃では、デバイスが購入者の手元に届く前に改ざんされる可能性がある。メーカーから直接購入するか、正規販売店から購入することで、こうしたリスクを軽減できる。
ソース：
